20070103

Protecting your Customers from UXSS

Well, it already has a name - UXSS. One of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vulnerabilities uncovered at 23C3 - arbitrary XSS from PDF's. Universal Cross-site Scripting. And so it begins - anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r race to name a vulnerability.

But I digress. You can actually protect yourself here, without taking PDF's off your site. But it's not easy. It will take engineering and time.

You need to apply a level of indirection. In this case, your PDF's need to go into a non-web-accessible directory. Then you need to use a bit tunnel to transmit cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PDF. Everybody's seen cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se before, and most of you have written cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m and use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m elsewhere on your site. In simple terms, it just opens up a non-accessible file and transmits cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 bits.

With cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se, you need to make sure that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 bit tunnel has a whitelist of what files it can open so that you don't allow directory traversal or arbitrary file download by altering cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 parameter. And you also need to apply transaction tokens here. Make sure to at least check cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 referrer, but preferably use a hidden form element with a token that is also in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 session. The bit tunnel needs to check this transaction tunnel to ensure that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user got here from somewhere you know about.

So cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fix. It's not easy, and it will take a couple of hours, unless you already use all those controls (bit tunnel, with a token check, and with a whitelist). It also makes it a bear to update your site. But your customers are worth cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trouble, aren't cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y?

0 comments: